Techniquement, on pourrait par exemple se croire protégé sur la partie ssh parce qu'on a une clé pour se connecter. Sauf qu'il y a des protocoles pourris, qui sont encore utilisés, des configs pourries aussi, et des gens qui suivent des tutos qui ont 20 ans d'âge, et donc la protection peut être assez relative. Si le débutant qui a mis ça en place a quand même aussi mis en place fail2ban paramétré à peu près potablement, il ajoute une couche qui limite énormément le débordement. Il améliore encore ses chances en passant sur un port non standard, en autorisant uniquement certaines ip, en utilisant un bastion, etc. Rien de tout ça, seul, n'est suffisant non plus.
Comment fai2ban va bloquer quelque chose qui ne serait pas bloqué par l’interdiction de l’authentification par mot de passe ? Le cas d’un bot qui brute force des clefs ? Pour les mots de passe, le brute force en ligne n’existe pas, le coût réseau le rend prohibitif, ce qui existe c’est des tentatives avec des mots de passes connu ou cohérent avec ton domaine. Du brute force de clefs en ligne, même les États ne l’envisagent pas, ils utilisent les faiblesses qu’ils connaissent. Donc il font très peu de tentatives.
un port non standard
C’est pas de la sécurité mais de l’obfuscation.
en utilisant un bastion
Ça n’a aucun intérêt si tu n’a qu’un seul serveur ou que les serveurs sont sur un réseau publique.
Et avec un peu de chance, on aura ajouté assez de couches dans la lasagne pour qu'aucun problème n'arrive à notre serveur.
La sécurité ce n’est pas mettre des couches en se disant que plus il y a de couches moins tu as de problèmes. Prendre du temps pour configurer correctement SSH est plus important qu’ajouter fail2ban par exemple. Au contraire virer des couches peut améliorer la sécurité par exemple en retirant SSH.
[^] # Re: Fail2ban ne remplace pas une bonne sécurité
Posté par barmic 🦦 . En réponse au journal Fail2ban, ajustement des valeurs par defaut. Évalué à 4.
Comment fai2ban va bloquer quelque chose qui ne serait pas bloqué par l’interdiction de l’authentification par mot de passe ? Le cas d’un bot qui brute force des clefs ? Pour les mots de passe, le brute force en ligne n’existe pas, le coût réseau le rend prohibitif, ce qui existe c’est des tentatives avec des mots de passes connu ou cohérent avec ton domaine. Du brute force de clefs en ligne, même les États ne l’envisagent pas, ils utilisent les faiblesses qu’ils connaissent. Donc il font très peu de tentatives.
C’est pas de la sécurité mais de l’obfuscation.
Ça n’a aucun intérêt si tu n’a qu’un seul serveur ou que les serveurs sont sur un réseau publique.
La sécurité ce n’est pas mettre des couches en se disant que plus il y a de couches moins tu as de problèmes. Prendre du temps pour configurer correctement SSH est plus important qu’ajouter fail2ban par exemple. Au contraire virer des couches peut améliorer la sécurité par exemple en retirant SSH.
https://linuxfr.org/users/barmic/journaux/y-en-a-marre-de-ce-gros-troll